Статус на Cloud VPN: прочитајте го статусот на ресурсот пред дневникот на IKE

Тунелот Cloud VPN води два животни циклуси истовремено и тие не се на ист часовник. Ресурсот мора да биде доделен и конфигуриран пред да може да преговара, а потоа протоколот има свој редослед на IKE пораки. Полето за статус може да го пријави првиот, а да не каже ништо корисно за вториот. Нивното читање како една работа е начинот на кој несовпаѓањето на клучот ја добива вината за доцнење при обезбедување.

Започнете со еден објект на тунел и еден временски прозорец.

Два животни циклуси, еден објект на тунел

Животниот циклус на ресурсот е подготовка на тунелот од давателот: адреси, конфигурација, капацитет. Животниот циклус на протоколот започнува кога двете страни имаат доволно конфигурација за размена на IKE_SA_INIT, потоа IKE_AUTH, потоа подредени безбедносни асоцијации. Тунел што е сè уште во првата фаза не паднал на автентикацијата, зашто автентикацијата сè уште не е обидена.

Таа разлика е целиот проблем. Сè друго е како да се набљудува без спојување на неповрзани пораки.

Читајте го објектот, а не резимето во конзолата

Прашајте го API за двете полиња што се важни и ништо друго, за да остане одговорот доволно мал за читање во три часот наутро: gcloud compute vpn-tunnels describe NAME --region REGION --format="yaml(status,detailedStatus)". Полето status ја именува фазата од животниот циклус, а detailedStatus ја носи читливата причина поврзана со неа. Целосниот испис на конфигурацијата одговара на други прашања и тешко се лепи во тикет. Ваквите повици само за читање не можат да го променат тунелот, што е важно додека инцидентот е сè уште активен.

Запишете ја временската ознака на повикот покрај вредностите, зашто двете полиња се менуваат.

ALLOCATING_RESOURCES не е несовпаѓање на клуч

Кога тунелот пријавува ALLOCATING_RESOURCES, давателот сè уште го составува објектот. Несовпаѓање на однапред споделен клуч не може да се набљудува во таа фаза, а блокиран порт на партнерот е исто толку недокажан. Она што можете да го проверите е деталната порака, дали проектот и услугата изгледаат здраво и дали конфигурацијата на тунелот е доволно целосна за воопшто да се контактира партнерот. Замената на тајната сега менува вредност што никогаш не била тестирана.

Почекајте статусот да се смени пред да донесете заклучок за конфигурацијата.

ESTABLISHED е почетокот на проверките за пристап

Воспоставен тунел значи дека IKE завршил, а не дека сообраќајот тече. Потврдете ги рутите што ги носи тунелот и, каде што е вклучен Cloud Router, потврдете ја BGP сесијата и префиксите што ги научила. Потоа тестирајте дозволена размена на апликација, зашто правило на заштитен ѕид или рута што недостига може да го блокираат сообраќајот низ сосема здрав тунел. Секое од тие е одделно набљудување со одделна поправка.

Статусот ви кажува кое прашање да го поставите следно. Тој никогаш не одговара на прашањето за пристап наместо вас.

Поврзете еден објект и еден временски прозорец

Стара грешка при автентикација во дневникот припаѓа на претходен обид, освен ако нејзината временска ознака не падне во прозорецот што го истражувате. Извлечете ги дневниците за ресурсот на тунелот за истите минути како статусот што сте го запишале и држете ги идентификаторите заедно. Подоцнежен IKE настан може да покаже дека преговорите започнале, додека пораката во конзолата во која гледате е веќе застарена.

Ако тунелот се опорави пред да соберете нешто, кажете го тоа. Неодредена причина е подобра евиденција од самоуверена приказна составена од неповрзани редови.

Следниот чекор секогаш има ист облик: еден објект, еден прозорец, една фаза. Сè пошироко е резиме, не дијагноза.